CrowdStrike: Настройка интеграции XOps

Используя API-коннектор, вы можете интегрировать данные из детекций CrowdStrike для создания историй для конечных устройств. Истории по конечным точкам помогают получить более полное представление о потенциальных угрозах в вашей сети.

История создаётся в CMA путем корреляции обнаружений CrowdStrike на основе ID Инцидента. Эти истории включают все релевантные доказательства для детекции, идентифицированной CrowdStrike. Рабочая область Историй показывает истории по конечным точкам вместе с другими типами историй, и вы можете сортировать и фильтровать истории, чтобы сосредоточиться на инцидентах конечных точек.

Истории CrowdStrike создаются практически в реальном времени после того, как первоначальное оповещение сгенерировано. 

Чтобы интегрировать данные про CrowdStrike EndPoint Detection с Cato XOps, вам нужно настроить API-коннекторы для CrowdStrike. После создания коннектора движок EndPoint Detection получает и анализирует данные детекции от CrowdStrike.

Для получения дополнительной информации о просмотре XOps историй, включая данные из CrowdStrike, см. Drilling-Down and Analyzing XOps Security Stories.

Чтобы создать коннектор между Cato и вашим арендатом CrowdStrike, вам необходимо:

Шаг 1: Создать API Клиент на платформе Falcon CrowdStrike

На платформе Falcon CrowdStrike создайте API Клиент.

Для создания API Клиента:

1. В вашей платформе Falcon CrowdStrike перейдите в Поддержка и ресурсы > API клиенты и ключи.

   
2. Нажмите Создать API-клиент.

3. Добавьте Имя клиента и Описание, а также доступ на Чтение для этих областей:

   • Оповещения
   • Инциденты
   • Threatgraph
4. Сохраните Client ID, Секрет, и Базовый URL, чтобы они могли быть добавлены в CMA.

Шаг 2: Создание API Коннектора в CMA

После создания API клиента добавьте данные в CMA.

Чтобы настроить Коннектор CrowdStrike в CMA:

1. Из меню навигации выберите Ресурсы > Интеграции.
2. На вкладке Встроенные приложения нажмите Новое. Откроется панель Новая интеграция.
3. Из выпадающего меню SaaS Приложение выберите CrowdStrike.
4. Введите Имя, Описание (необязательно) и Базовый URL, Application ID, и Секрет клиента из шага 1.
5. (Необязательно) Выберите отслеживание ошибок в интеграции, создавая событие.
6. Нажмите Сохранить.

Понимание статуса коннектора

Столбец Статус на странице Настроек коннекторов показывает статус соединения между приложением CrowdStrike и вашей учетной записью Cato. Это объяснения статусов:

• Подключено - Ваша учетная запись подключена к приложению и работает корректно
• Ожидание согласия пользователя - Разрешения не были предоставлены для доступа Cato к приложению CrowdStrike. Для решения этой проблемы, обновите браузер. Если Статус меняется на Подключено, проблема решена, если Статус не меняется, удалите и создайте коннектор снова.
• Ошибка - Есть проблема с соединением, разрешениями, лицензией или другой проблемой с коннектором. Удалите и создайте коннектор заново.